Central Dogma: Hard-coded ZooKeeper replication secret 'ch4n63m3' with silent fallback enables cluster takeover — GHSA-2J95-GQXF-V3VG

GitHub · GitHub · GHSA-2J95-GQXF-V3VG

ID
GHSA-2J95-GQXF-V3VG

Datum
2026-09-11

Quelle
GitHub

Vendor
GitHub

Risiko
kritisch

CVSS
9.4

EPSS
0.00229

Zusammenfassung

## Vulnerability `ZooKeeperReplicationConfig.secret()` silently substitutes the hard-coded constant `"ch4n63m3"` (leetspeak for "change me") whenever the operator omits `replication.secret`. The same secret is wired into both the **client-facing SASL context** and the **quorum/learner SASL contexts** of the embedded ZooKeeper. The constant is in OSS source on GitHub and is discoverable via code search in seconds.…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-11

Risikokontext

Gemeldeter Schweregrad oder Risikowert: kritisch.
Gemeldeter CVSS-Wert: 9.4 von 10.
Gemeldeter EPSS-Wert: 0.00229.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: maven: com.linecorp.centraldogma:centraldogma-server.

Produkt

maven: com.linecorp.centraldogma:centraldogma-server

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-2J95-GQXF-V3VG
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-11
Letzte Quellenaktivität: 2026-09-11
Weitere Kennungen: CVE-2026-11746
Kuratiert von: hlukh.ch